AI Act: pareri del Garante Privacy sui decreti legislativi

Il Garante per la protezione dei dati personali ha pubblicati due pareri su altrettanti decreti legislativi che disciplinano l’attuazione in Italia dell’AI Act europeo. Il primo decreto attuativo definisce la competenza dell’autorità sui sistemi AI ad alto rischio e introduce regole per l’uso dell’AI nella formazione. Il secondo decreto attuativo disciplina l’impiego dei sistemi AI da parte delle forze di polizia.

Parere sull’uso dell’AI per la formazione

Per quanto riguarda il primo decreto legislativo, il Garante ha indicato ulteriori condizioni e osservazioni per rafforzare la tutela dei diritti delle persone. L’autorità chiede che le venga riconosciuto il potere di adottare linee guida, raccomandazioni e buone pratiche nell’ambito di riferimento (come per le altre autorità). Invita inoltre i legislatori a chiarire le regole per l’applicazione delle sanzioni in base alla legge sulla privacy.

Il Garante chiede che venga inoltre chiarito il proprio ruolo nell’ambito delle procedure di valutazione della conformità dei sistemi AI ad alto rischio, per i quali l’AI Act gli attribuisce specifiche funzioni di vigilanza. Propone inoltre di estendere il divieto di decisioni basate esclusivamente su sistemi AI anche alle valutazioni che possono incidere in modo significativo sul rapporto di lavoro, come quelle relative alle prestazioni, all’attribuzione di premi o alle progressioni di carriera.

Parere sull’uso dell’AI per attività di polizia

Più delicato l’argomento del secondo decreto legislativo, in quanto prevede l’uso dei sistemi AI per l’identificazione biometrica in tempo reale da parte delle forze di polizia. Il Garante evidenzia che il trattamento automatizzato e generalizzato dei dati biometrici delle persone che accedono a luoghi o eventi pubblici non è coerente con l’AI Act.

Il regolamento europeo consente il riconoscimento facciale a posteriori solo per ricerche mirate. L’elaborazione dei dati biometrici dovrebbe quindi avvenire esclusivamente sulle registrazioni già acquisite e in presenza di una specifica esigenza operativa, evitando raccolte massive e preventive.

I legislatori dovrebbero inoltre aggiungere il divieto di utilizzo di banche dati ottenute mediante tecniche di scraping non mirato o in violazione della disciplina in materia di protezione dei dati personali. I due decreti legislativo sono stati sottoposti al parere (non vincolante) delle commissioni parlamentari.